9.2.2 — Programme d’audit interne

L’exigence qui transforme le « on devrait s’auditer un jour » en un programme défini et reproductible qu’un auditeur externe peut réellement inspecter.

Exigence obligatoire · Information documentée requise : oui

En langage clair

La 9.2.2 exige de planifier, mettre en place, exécuter et maintenir un véritable programme d’audit — pas un audit unique, mais un système récurrent qui décide de la fréquence des audits, de ce qui est vérifié chaque fois, de qui est qualifié et suffisamment indépendant pour le vérifier, et de la façon dont les résultats sont rapportés et conservés.

Pourquoi cette exigence existe

Un seul audit rigoureux ne renseigne que sur un moment donné. Un programme est ce qui fait de l’audit interne un outil de gestion plutôt qu’un exercice de conformité ponctuel — il force à décider d’avance comment la couverture tournera à travers le SGSI, pour que les zones à haut risque soient réellement vérifiées selon une cadence prévisible plutôt que selon la zone pour laquelle quelqu’un avait du temps.

Scénario : le seul audit interne d’une entreprise sur deux ans a été réalisé par la même personne qui gère le SGSI au quotidien, porté entièrement sur la revue documentaire, sans critères définis ni rapport conservé. À l’audit de certification, l’auditeur externe demande le programme d’audit interne et constate qu’il n’y en avait effectivement pas — une non-conformité majeure, même si les contrôles individuels étaient en assez bon état.

Ce que la norme attend

La norme attend que l’organisation planifie, établisse, mette en œuvre et maintienne un programme d’audit, incluant la fréquence, les méthodes, les responsabilités, les exigences de planification et les rapports — en tenant compte de l’importance des processus concernés et des résultats des audits précédents. Pour chaque audit, vous devez définir les critères et le périmètre de l’audit ; sélectionner des auditeurs et mener des audits qui garantissent l’objectivité et l’impartialité du processus ; vous assurer que les résultats sont rapportés à la direction concernée ; et conserver l’information documentée comme preuve du programme et des résultats.

En pratique

• Rédiger un document de programme d’audit d’une page : fréquence annuelle (ou plus fréquente pour les zones à haut risque), rotation du périmètre à travers les domaines du SGSI, et responsabilités nommées.
• S’assurer que la personne qui réalise l’audit est indépendante de la zone auditée — quelqu’un d’une autre équipe, ou un contractant externe pour les petites organisations sans séparation interne suffisante.
• Définir les critères d’audit avant chaque audit (quelles clauses, quels contrôles, quels documents) plutôt que d’improviser le périmètre le jour même.
• Produire un rapport écrit pour chaque audit et l’acheminer aux personnes qui peuvent agir, pas seulement dans un dossier.

Preuves que l’auditeur demandera

• Le programme d’audit interne documenté : fréquence, rotation du périmètre, responsabilités.
• Des rapports d’audit montrant les critères, le périmètre, les constats et qui a mené chaque audit.
• Une preuve de l’indépendance de l’auditeur — un organigramme ou une déclaration montrant que l’auditeur n’examinait pas son propre travail.
• Des registres montrant que les constats ont été rapportés à la direction concernée et suivis jusqu’à leur fermeture.

Pièges courants

• Un auditeur qui examine son propre domaine de responsabilité — le constat le plus fréquent contre cette sous-clause.
• Un « programme » qui n’est en réalité qu’un audit unique, fait une fois, sans plan de répétition ni de couverture complète du SGSI dans le temps.
• Aucun critère défini avant l’audit — l’auditeur décide de ce qu’il vérifie au fil de l’audit, ce qui rend les résultats difficiles à comparer d’une année à l’autre.

Exigences liées

• 9.2.1 Généralités — l’objectif général que ce programme est conçu pour atteindre.
• 9.3 Revue de direction — les résultats d’audit interne sont un élément d’entrée obligatoire de la revue de direction.
• Clause parente : 9.2 Audit interne.

Correspondance 2013 → 2022